CVE-2026-111560 — Barracuda : injection de commandes OS via champ timezone authentifié
Threat Intel · Alerte de sécurité
L'alerte
CVE-2026-111560 — Barracuda Email Security Gateway (ESG), Load Balancer Application Delivery Controller (ADC), Web Application Firewall (WAF), Web Security Gateway (WSG), Message Archiver (BMA), WAF Control Center (WCC)
Les appliances Barracuda (ESG, ADC, WAF, WSG, BMA, WCC) contiennent une faille d'injection de commandes OS dans le traitement du champ timezone. Un administrateur authentifié peut injecter des commandes exécutées avec les privilèges root. Inscrite au catalogue KEV avec exploitation avérée.
- Éditeur
- Barracuda Networks
- Produit
- Barracuda Email Security Gateway (ESG), Load Balancer Application Delivery Controller (ADC), Web Application Firewall (WAF), Web Security Gateway (WSG), Message Archiver (BMA), WAF Control Center (WCC)
- Publication
- 02/11/2026
- Gravité CVSS
- Élevée
- Priorité
- Critique — exploitation connue
CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
- Exploitation connue — CISA KEV
La faille
Le champ de configuration timezone ne neutralise pas correctement les métacaractères de shell. Un administrateur authentifié peut injecter des commandes OS qui s'exécutent avec les privilèges root lors du traitement de la valeur timezone manipulée.
Ce qu'elle permet à un attaquant
- Exécution de commandes système avec les privilèges root sur l'appliance affectée, offrant un contrôle complet de l'infrastructure.
Qui est concerné
Barracuda Email Security Gateway (ESG) versions 0 à 9.4.0.27, Barracuda Load Balancer Application Delivery Controller (ADC) versions 0 à 6.4.0, Barracuda Web Application Firewall (WAF) versions 0 à 11.0.1, Barracuda Web Security Gateway (WSG) versions 0 à 16.1.100.100, Barracuda Message Archiver (BMA) versions 0 à 5.5.4.0, Barracuda WAF Control Center (WCC) versions 0 à 2.2.1.
| Produit | Versions |
|---|---|
| Barracuda Networks Barracuda Email Security Gateway (ESG) | 0 → ≤ 9.4.0.27 |
| Barracuda Networks Barracuda Load Balancer Application Delivery Controller (ADC) | 0 → ≤ 6.4.0 |
| Barracuda Networks Barracuda Web Application Firewall (WAF) | 0 → ≤ 11.0.1 |
| Barracuda Networks Barracuda Web Security Gateway (WSG) | 0 → ≤ 16.1.100.100 |
| Barracuda Networks Barracuda Message Archiver (BMA) | 0 → ≤ 5.5.4.0 |
| Barracuda Networks Barracuda WAF Control Center (WCC) | 0 → ≤ 2.2.1 |
État de l'exploitation
La faille est inscrite au catalogue KEV de CISA depuis le 10 novembre 2026 avec exploitation avérée en environnement réel.
Chronologie
- Publication de la vulnérabilité
- Ajout au catalogue CISA KEV
- Échéance fixée par la CISA aux agences fédérales américaines
Que faire
- Appliquer les atténuations conformément aux instructions du fournisseur en respectant la directive BOD 26-04 de CISA pour la priorisation des mises à jour de sécurité selon le risque.
- Pour les services cloud ou en cas d'indisponibilité d'atténuation, évaluer l'arrêt du produit conformément à la directive BOD 26-04.
Termes utiles
- KEV
- Known Exploited Vulnerabilities — catalogue de CISA recensant les failles activement exploitées en conditions réelles, mis à jour régulièrement.
- BOD 26-04
- Directive CISA imposant aux agences fédérales américaines de prioriser les correctifs de sécurité selon le risque et l'exposition internet.
- Injection de commandes OS
- Insertion de séquences de commandes système via des entrées utilisateur non validées, permettant l'exécution de code arbitraire avec les privilèges du processus hôte.